L’organe exécutif de l’Union européenne se trouve actuellement confronté à un embarrassant scandale de confidentialité. Il a été confirmé vendredi que l’UE a enfreint ses propres règles de protection des données avec une campagne publicitaire controversée menée sur le réseau social X (anciennement Twitter) à l’automne 2023.

L’autorité de contrôle de l’UE, le Contrôleur européen de la protection des données (CEPD), a constaté que cette campagne de la Commission traitait illégalement des données sensibles (opinions politiques) des citoyens pour cibler les publicités. Une conclusion qui fait suite à une plainte déposée en novembre 2023 par l’ONG européenne de défense de la vie privée noyb.

Une Campagne pour Influencer l’Opinion sur une Proposition Législative Controversée

L’objectif de cette campagne publicitaire était d’infléchir l’opinion autour d’une proposition législative européenne polémique visant à obliger les applications de messagerie à scanner les communications des gens pour détecter les contenus pédopornographiques (CSAM). Les critiques ont mis en garde contre les risques de cette réglementation CSAM de l’UE :

• Menace pour une série de droits démocratiques
• Mise en péril du chiffrement de bout en bout
• Fondement juridique douteux

Malgré cela, la Commission a poursuivi sa route, s’attirant au passage quelques coups au niveau réputationnel. Et maintenant cette gifle retentissante en matière de vie privée.

Un Ciblage Publicitaire Basé sur les Préférences Politiques

La plainte de noyb soulignait comment la campagne publicitaire de la Commission cherchait à promouvoir indirectement la réglementation CSAM pour influencer l’opinion des citoyens aux Pays-Bas. Elle ciblait les utilisateurs du pays qui n’étaient pas intéressés par certains mots-clés tels que :

• #Qatargate
• Brexit
• Marine Le Pen
• Alternative für Deutschland
• Vox
• Christian / Christianophobie
• Giorgia Meloni

De tels mots-clés peuvent être associés à des personnes ayant certaines opinions politiques (de droite), faisant du traitement un proxy pour les opinions politiques, classées comme données sensibles en vertu des lois européennes sur la protection des données. Le consentement explicite préalable des personnes est nécessaire pour traiter légalement ce type de données, ce que la Commission n’a pas obtenu.

X Pointé du Doigt par la Commission

L’UE avait précédemment indiqué à TechCrunch que la campagne publicitaire avait été « conçue et mise en œuvre dans le cadre d’un contrat-cadre avec un contractant » et que X, qui a accepté la campagne, « pouvait être censé la mettre en œuvre conformément aux conditions de la plateforme et aux règles juridiques applicables, en particulier le RGPD ». La Commission avait donc cherché à rejeter la faute sur X pour tout ciblage publicitaire illégal.

Étant donné que le traitement sensible n’aurait pas dû se produire, nous avons pris des mesures pour nous assurer que les règles existantes soient rappelées à tous les services.

– La Commission européenne en mai 2024

Cependant, au vu de la conclusion du CEPD selon laquelle un traitement illégal a eu lieu sur X, la plateforme sociale pourrait elle aussi faire l’objet de sanctions. Noyb a d’ailleurs une plainte distincte contre X concernant ce traitement politique, qui fait toujours l’objet d’une enquête par les autorités de protection des données.

Réprimande du CEPD et Possibles Répercussions

Si le CEPD n’a émis qu’une réprimande à l’encontre de la Commission, sans amende, c’est parce que cette dernière a mis fin à ces pratiques. Il est donc peu probable que nous assistions prochainement à un nouveau microtargeting controversé de la part de l’UE. D’autant plus qu’un nouveau collège de commissaires est maintenant en place.

Cette décision devrait néanmoins avoir des implications pour la plainte en cours de noyb contre X, ainsi que pour d’autres plaintes similaires concernant le microtargeting utilisant des données sensibles. Étant donné le fonctionnement typique de ces technologies publicitaires, il y a de fortes chances que de telles plaintes aboutissent à de réelles amendes RGPD, qui peuvent atteindre jusqu’à 4% du chiffre d’affaires annuel mondial.

Nous avons de nombreux autres cas de microtargeting politique dans les États membres. De nombreux partis politiques se livrent à la même pratique illégale. Nous espérons que la décision du CEPD servira de guide aux autorités nationales qui enquêtent actuellement sur ces pratiques.

– Felix Mikolasch, avocat spécialisé dans la protection des données chez noyb

Un nouveau chapitre s’ouvre dans la lutte pour la protection de la vie privée des citoyens européens face aux dérives du microtargeting politique. Reste à voir si cette décision fera réellement jurisprudence et incitera les régulateurs nationaux à sévir.